信息收集-APP+小程序

 

APP-内在提取-AppInfoScanner和内在搜索-反编译载入Pycharm

使用AppInfoScanner工具反编译之后寻找关键信息。 环境：JAVA版本1.8及以下、Python3的运行环境

 

使用工具反编译app，工具出现错误，最后发现工具没有安装依赖库

 

重新运行成功反编译app，AppInfoScanner工具就会主动为我们提取出各种资产信息。

我们还可以把反编译的代码放入Pycharm

 

可以在项目里面查找一些有用的资产信息

 

 

 

APP-外在抓包-茶杯&Burp

使用工具茶杯抓包获取app资产信息

 

分析包内容获取的资产

 

APP-外在封包-封包监听工具

比抓包获取的信息更细腻一点

 

小程序-微信-电脑版登录启动抓包分析

使用Fiddler抓包工具进行抓包分析

成功获取到一个后台管理系统

我们就可以进行安全测试

如：弱口令，浏览器搜索程序公开漏洞

 

还可以全球ping一下域名查看ip和是否存在cdn

发现没有cdn，就可以对ip进行端口扫描，还有对域名进行子域名扫描

 

 

可以查询站长工具查询备案信息，得到企业名称，企查查查询企业名称再次得到备案网站

又可以进行子域名扫描，进行安全测试。